Les disques égarés en Grande Bretagne contenaient les dates de naissances, les numéros d'assurance sociale, les numéros bancaires, et les adresses d'environ la moitié des citoyens du pays. Ils avaient été envoyés par l'organisme officiel de contrôle des dépenses publiques, le Her Majesty's Revenue & Customs (HRMC) au National Audit Office. Le transport a été confié à la société privée TNT.
Le portable « égaré » de la société Deloitte contenait quant à lui les informations confidentielles (numéro de sécurité sociale, dates de naissances et informations sur les retraites) de près de 150 000 employés de la société Vodafone. Enfin, plus près de nous, les disques durs des ordinateurs dérobés à la société Eiffage BTP ne contenaient rien de moins que les plans de la future Maison d'Arrêt de Nancy qui devait ouvrir ses portes au mois de juin prochain.
Ce dernier cas étant particulièrement symptomatique puisque, ni le Ministère de l'Intérieur ni le prestataire Eiffage BTP ne semblent avoir mis en place de mesures de sécurité spécifiques pour protéger ces informations. On imagine facilement les conséquences possibles d'une telle négligence, puisque les plans mais aussi les codes et informations extrêmement confidentielles de cette prison se trouvent désormais entre des mains inconnues...
De la dématérialisation des documents papiers
Ces quelques exemples, pris parmi la multitude des pertes d'informations sensibles ces dernières années, illustrent une double tendance qui est, d'une part, de confier à des sous-traitants de plus en plus de missions comportant une partie importante liée à la sécurité du commanditaire et d'autre part de négliger lourdement la protection des supports informatiques et autres moyens de communication électroniques. Dans la plupart des cas en effet c'est la confiance accordée au prestataire qui est en cause et les exemples ci-dessus illustrent bien le phénomène largement connu de dissolution de responsabilité entre celui qui confie la tâche et celui qui exécute la mission. Au-delà de l'angélisme de certains ou de la méconnaissance des risques encourus, c'est malheureusement bien souvent les mêmes causes qui conduisent un grand nombre d'administrations, de sociétés et même de particuliers à négliger les mesures minimales de sécurité qui doivent être mises en oeuvre pour protéger leurs données personnelles ou les informations qui leurs sont confiées...
La dématérialisation des documents papiers par leur transfert sur des supports informatiques est un élément fondamental de la situation que nous rencontrons actuellement. En effet, en disparaissant dans les disques durs de nos ordinateurs ou sur les clefs USB, les documents disparaissent aussi à notre vue et sortent en partie de notre champ de conscience. C'est un fait, on laissera plus facilement allumé un ordinateur contenant des informations confidentielles que trainer sur un coin de bureau un document clairement identifié comme étant « confidentiel ». La dématérialisation des documents est aussi à l'origine d'un mélange des genres dangereux, un même support informatique contient de plus en plus souvent, à la fois des données sensibles et des informations ouvertes, ce qui conduit inévitablement à fragiliser la protection des données les plus confidentielles par commodité dans l'utilisation des informations quotidiennes.
Ainsi, le facteur humain éclaire bien la nature exacte du risque et selon une étude menée en 2008 auprès d'entreprises de 32 pays, il s'avère que l'erreur humaine est en cause dans 86% des cas rencontrés. La sensibilisation et les actions de formation et de prévention sont donc encore bien insuffisantes, aussi bien dans les administrations que dans les grandes entreprises qui traitent quotidiennement des informations sensibles.
Les budgets dédiés aux questions de sécurité sont loin d'être à la hauteur des enjeux et des besoins actuels, tant au niveau de la sécurité physique qu'informatique. Malheureusement, la crise économique conduira certainement les entreprises à diminuer leurs dépenses dans les secteurs jugés non prioritaires, comme les infrastructures de sécurité et les budgets informatiques, ce qui aura inévitablement des conséquences sur leur sécurité globale.
Pourtant c'est bien à tort que l'on considère les questions de sécurité comme secondaires, dans le cas par exemple de la société Eiffage BTP, c'est un marché de plus de 60 millions d'euros qui vient d'être mis en péril par le simple vol de quatre ordinateurs...
